Dogood 如何处理你的数据

你的日记

页面、章节、目标、习惯、书籍设置和偏好设置都保存在你所用设备上浏览器自带的数据库（IndexedDB）中，不会上传到 Dogood。如果你开启同步（见下文），副本会保存到你自己的 Google 云端硬盘，而不是 Dogood。

由于日记存放在你的浏览器中，清除该浏览器中本网站的数据就会将其删除。你可以随时导出完整的备份文件，之后在同一台或另一台设备上恢复。

Dogood 还会在浏览器的本地存储中保存一条“是或否”的记录，说明这里是否有日记，以便打开 Dogood 的网址时直接进入你的日记，而不是本网站。它从不离开你的设备。

加密

如果你设置了密码短语，Dogood 会在你的设备上使用 AES-256-GCM 加密页面标题和正文、章节名称、目标、习惯及打卡日期、书籍设置和图片链接。密钥由你的密码短语通过 PBKDF2（SHA-256，310,000 轮）生成，仅在 Dogood 解锁期间保存在内存中，锁定时即被清除；一段时间无操作后会自动锁定。

日期、心情和字数不加密保存，以便计算日历和统计数据。加密日记的备份仍保持加密。没有恢复密钥：忘记的密码短语无法重置。

在某台设备上，你还可以选择用 6 到 8 位的 PIN 码，或用 Face ID 或指纹解锁。每种方式都会在该设备上保存一份日记密钥的副本，由 PIN 码（PBKDF2，1,000,000 轮）或只有设备通行密钥才能提供的密钥（WebAuthn PRF）加密。连续输错五次 PIN 码后，PIN 码将被停用。它们都不会离开设备，也不包含在备份中，你的密码短语始终可以打开一切。

照片

你从设备添加的照片会在设备上调整尺寸，并保存在日记中，即同一个浏览器数据库里；使用密码短语时，它们会像其他内容一样被加密。照片包含在你的备份中，从不上传。

对于以网页链接方式添加的图片，Dogood 保存的是链接，而不是文件。你的浏览器会从托管该图片的网站加载它，与网上的任何图片一样，该网站可能会看到你的 IP 地址。Dogood 会要求浏览器在这些请求中不发送页面地址。

与 Google 云端硬盘同步（Dogood Plus，需自行开启）

同步默认关闭，除非你开启它。开启后，Dogood 会把你的日记保存在你自己的 Google 云端硬盘中的一个隐藏文件夹里，即应用数据文件夹，只有 Dogood 能打开：你、其他应用和其他文件都看不到它，Dogood 也看不到你云端硬盘中的任何其他内容。每台登录同一 Google 账号的设备都保存完整的日记，并加入其他设备上写下的内容。你的日记直接从浏览器发送到 Google，从不经过 Dogood，Dogood 也从不知道你的 Google 账号。

复制的内容：你的每一天及其照片、章节、目标、习惯、空间、书籍设置、时间线的日期和 Dogood Plus 许可。属于某台设备的偏好设置，例如快速解锁、使用情况分享或备份文件夹，会留在该设备上。当你的日记受密码短语保护时，所有内容在离开设备前都会被封存（AES-256-GCM，使用日记的密钥）：Google 保存的只是它能看到名称和大小的文件，看不到任何文字、日期、心情或照片。没有密码短语时，云端硬盘上的副本不会被 Dogood 加密，Google 会像存储你的其他文件一样存储它。

Google 通过一个有效期为一小时、仅保存在内存中的令牌让 Dogood 登录，该令牌只能访问那个文件夹（drive.appdata 权限）。Dogood 会在设备上保存 Google 账号的地址，用来显示你的日记同步到了哪里，以及它上次在云端硬盘上看到的内容，用来判断哪些有了变化。你可以随时在某台设备上停止同步，也可以在应用中删除 Dogood 在云端硬盘上的文件夹；你还可以在 Google 账号设置中撤销 Dogood 的访问权限。Google 如何处理它存储的内容，由其自身的隐私权政策规定。

Dogood 对从 Google API 获得的信息的使用和传输，遵守 Google API Services User Data Policy，包括其中的有限使用（Limited Use）要求。简单地说：Dogood 从你的云端硬盘读取的内容，只用于让你各台设备上的日记保持一致；它从不会被发送给 Dogood 或任何人，从不出售，从不用于广告，也从不会被任何人阅读。

使用情况分享（匿名，需自行开启）

使用情况分享默认关闭。如果你在初次设置时，或之后在菜单的“使用情况分享”中开启它，Dogood 会发送各项操作的计数，让我们了解哪些部分被使用、大家在哪里遇到困难：

• 诸如 app_opened、entry_created、chapter_created、goal_created、habit_created、book_previewed、book_printed 和 feedback_submitted 之类的事件。
• 少量无法识别个人身份的细节：打开了哪个部分，新页面的日期是否在未来或是否有图片，目标的类型，新习惯计划每周几天，书籍的范围和天数，反馈的类别及其评分数量。
• 在你的浏览器中生成的随机安装 ID 和会话 ID，以及每个事件的时间。

使用情况分享从不包含页面正文、标题、章节、目标或习惯的名称、搜索内容、心情、图片链接或图片说明。你可以随时将其关闭。

反馈

当你在 Dogood 中发送反馈时，我们会收到你填写的内容：你的评分、备注类型、留言、你选择添加的邮箱地址，以及（如果曾经开启过使用情况分享）随机安装 ID。你日记中的任何内容都不会附带发送。从联系页面发送的留言也会同样保存：主题、留言、你的邮箱地址，以及你填写的姓名；它还会通过邮件发给发布者，以便回复你。

语音输入（Dogood Plus）

语音输入是唯一会把你所说的话发送到设备之外的功能，而且只在你点按“语音输入”时才会发送。Dogood 在浏览器中录制麦克风的声音，并将录音在传输中加密、按每段最长一分钟发送到 Dogood 的服务器，服务器再把它交给由 Cloudflare Workers AI 运行的语音转文字模型 Whisper（large-v3-turbo）。文字返回你的浏览器并添加到你的页面中，像你输入的内容一样被保存。

Dogood 既不存储录音，也不存储文字，也不记录日志。Cloudflare 不会用它们训练任何模型（Workers AI 隐私说明）。为了让语音输入保持在每月额度之内，Dogood 的服务器会按许可的随机编号统计每份许可每月语音输入的秒数，除此之外不记录任何内容。Dogood 会在第一次语音输入前征求你的同意，浏览器也会请求使用麦克风的权限。

Dogood Plus、礼物与付款

Dogood Plus 通过我们的代理商户（Merchant of Record）Creem 付款，由 Creem 处理付款、税费和收据。银行卡信息只发送给 Creem，从不发送给 Dogood。Dogood 从 Creem 收到所购商品、金额、你所在的国家和你的邮箱地址；我们只用这个邮箱发送开启 Plus 的链接或礼物链接，并在你要求时重新发送。

开启 Plus 的许可与你的日记一起保存在你的设备及其备份中。它包含一个随机编号、它的来源、生成日期，以及它所属日记的随机编号；不包含任何关于你或你所写内容的信息。Dogood 的服务器会记录每份许可属于哪个日记编号，以确保一份 Plus 只在一本日记中使用。开启 Plus，以及每天检查一次它是否已转移到另一本日记时，会把许可和该日记编号发送给服务器，从不发送日记中写的任何内容。

如果你请 Dogood 在圣诞节早晨或你选择的其他日子用邮件送出礼物，我们会保存收礼人的邮箱地址、名字、你写下的几句话以及时区，直到你选择的日期和时间。届时邮件发出，这些信息随即删除；在此之前，你可以在礼物页面中修改或取消。它们不会用于任何其他用途。

如果你领取好友优惠的链接，Dogood 服务器会把其中的代码与你的许可一起保存，并记录通过它完成的每一笔购买。你只会知道有多少位朋友通过这个链接购买了 Dogood Plus，而不会知道是谁，也不会看到他们的邮箱地址。

印刷书籍向你选择的印刷厂订购，适用该印刷厂自己的隐私政策：文件由你发送给它，Dogood 不参与。

写作伙伴（需自行开启）

如果你邀请某人成为写作伙伴，或接受了邀请，你的日记会在以下信息变化时，把你选择的名字、当前的连续天数、已写天数和最后一次写作的日期发送给 Dogood 的服务器。你的每位写作伙伴（最多十人）只能看到这些信息，你也能看到他们的同样信息。除非他们彼此也是写作伙伴，否则他们互相看不到。从不显示任何文字、标题、心情、照片，也不显示最后写作日期以外的任何日期。

邀请中可能带有发送者的推广代码。这时 Dogood 会询问你是否要把这次推荐记在对方名下，只有在你同意时才会保存该代码，与任何合作伙伴链接一样。

每本日记都持有一个用于发送其数字的随机令牌；服务器只保存它经过转换的形式（哈希值）。无人打开的邀请会在 14 天后删除。你们任何一方都可以随时停止分享：之后双方都不再看到对方，服务器会删除为你们两人保存的内容。

邮件通讯（需自行订阅）

如果你在网站页脚订阅邮件通讯，我们会保存你的电子邮箱地址和语言，以便每年给你发送几封邮件：一份优惠、一次赠送活动、值得一读的消息。只有在你通过收到的邮件确认订阅之后，你才会加入名单，我们会记录确认的日期和时间；一周内未确认的地址会被删除。

邮件通讯通过我们的邮件服务商 Resend 发送。每封邮件都附有一键退订的链接，退订后你的地址会被删除。在你确认之前（最长一周），我们会同时保存发起订阅的网络地址的不可读形式（哈希值），仅用于防止有人利用该表单向他人发送邮件。

团队与报价

打开团队链接无需提供姓名或邮箱。Dogood 会按天统计每个团队链接被打开的次数，以确保套餐不超出其人数，并让购买者可以在团队空间中查看进度；除此之外不记录任何内容，也不记录是谁打开的。团队空间通过发送给购买者的随机网址访问。

当你在团队页面申请报价时，我们会收到你填写的内容：你的公司、姓名、工作邮箱、人数、希望的付款方式以及你补充的任何内容。我们只用它来答复你并准备订单，不再需要时即予删除。为了防止滥用，我们会保存请求来源地址经过转换的形式（哈希值），从不保存地址本身。

医院或协会在为其准备的页面上申请 Dogood Plus 时，会发送同类信息：机构名称、你的姓名、邮箱、大约人数以及面向的人群。这些信息只用于回复和创建链接，保存时间不超过所需。

Cookie

Dogood 不设置任何 Cookie。它在你的浏览器中保存了什么、保存多久，都列在 Cookie 与存储 中。

运行在哪里

Dogood 的文件由 Cloudflare Pages 提供。如果你开启同步，你的日记会保存在你自己账号下的 Google 云端硬盘中。可选的反馈、统计、Dogood Plus 和语音输入服务运行在 Cloudflare Workers 上，并把收到的内容存储在 Cloudflare D1 数据库中；语音输入由 Cloudflare Workers AI 转写。与任何网站一样，提供 Dogood 文件的服务器会处理请求的基本信息（例如你的 IP 地址），以便提供这些文件。网站页面（绝不包括日记应用）使用 Cloudflare Web Analytics 统计访问量：不使用 Cookie，不在你的设备上保存任何内容，也无法识别你；只记录页面、你来自哪个网站、你所在的国家和设备类型。

保存多久

反馈：保存三年后删除。匿名使用事件：十三个月。报价请求：三年。Dogood Plus 购买记录（你的邮箱及其对应的许可证）：只要 Dogood Plus 还在，就会保存，以便重新发送你的许可证；付款和发票由 Creem 保存。在指定日期通过邮件送出的礼物：收礼人的地址、姓名和留言在发送后立即删除。邮件通讯：直到你退订；从未确认的地址一周后删除。写作伙伴：直到其中一方停止。语音输入：录音和文字都不会保存。

你的权利

数据控制者是 Dogood 的发布者、个体经营者 Benoît Morin（见法律声明）。你自己开启的功能（使用情况分享、邮件通讯、写作伙伴、同步、语音输入）以你的同意为依据，你可以随时撤回；购买以合同为依据；回复反馈和保护服务以 Dogood 的正当利益为依据。你可以写信至 [email protected]，要求查看、更正、删除、获取副本或反对使用与你有关的数据；其中大部分你可以在 Dogood 里自己完成。如果你认为你的数据处理不当，可以向 CNIL（法国数据保护机构）或你所在国家的数据保护机构投诉。上文提到的 Cloudflare、Google 和 Resend 位于美国：它们参加了欧盟–美国数据隐私框架，或依据欧盟委员会的标准合同条款。

儿童

Dogood 无需账号，任何年龄都可以使用。未满 15 岁（或你所在国家规定的年龄）的用户，在开启会从设备发送内容的功能（使用情况分享、邮件通讯、写作伙伴、同步或语音输入）之前，请先征得父母或监护人的同意。家长如发现孩子向我们发送了内容，可以写信给我们，我们会将其删除。

问题

请写信至 [email protected]。